Подключение серверов с помощью интерфейса подключения Microsoft Defender для конечной точки

  • Применяется к: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Обзор

Defender for Endpoint помогает защищать серверы вашей организации с помощью таких возможностей, как управление состоянием безопасности, защита от угроз, а также обнаружение и реагирование на конечных точках. Defender для конечной точки предоставляет вашей команде безопасности более глубокое представление о действиях сервера, охвате для обнаружения атак на ядро и память, а также возможность принимать ответные действия при необходимости. Defender для конечной точки также интегрируется с Microsoft Defender для облака, предоставляя вашей организации комплексное решение для защиты серверов.

В зависимости от конкретной среды можно выбрать один из нескольких вариантов подключения серверов к Defender для конечной точки. В этой статье описываются доступные варианты Windows Server и Linux, важные моменты, которые следует учитывать, как запустить тест обнаружения после подключения и как отключить серверы.

Примечание.

Средство развертывания Defender можно использовать для развертывания безопасности конечных точек Defender на устройствах Windows и Linux. Это упрощенное самообновяющееся приложение, которое упрощает процесс развертывания. Дополнительные сведения см. в разделах Развертывание Microsoft Defender безопасности конечных точек на устройствах Windows с помощью средства развертывания Defender и Развертывание Microsoft Defender безопасности конечных точек на Linux устройствах с помощью средства развертывания Defender (предварительная версия).

Совет

Чтобы настроить интерфейс на основе вашей среды, вы можете получить доступ к руководству по автоматической настройке анализатора безопасности в Центр администрирования Microsoft 365.

Серверные планы

Для подключения серверов к Defender для конечной точки требуются серверные лицензии . Вы можете выбрать один из следующих вариантов:

Совет

Для большинства организаций Microsoft рекомендует внедрять серверы через Microsoft Defender for Servers Plan 2 в рамках Microsoft Defender для облака. План 2 включает защиту серверов Defender для Endpoint и возможности, специфичные для серверных нагрузок:

  • Бесагентное машинное сканирование на уязвимости, вредоносное ПО и секреты
  • Мониторинг целостности файлов
  • Доступ к виртуальной машине «точно вовремя»
  • Оценка соблюдения нормативных требований
  • Возможности премиум-Управление уязвимостями Microsoft Defender
  • Оценка конфигурации операционной системы на основе Microsoft Cloud Security Benchmark
  • Ежедневная льгота на загрузку 500 МБ данных для каждой защищённой машины

Defender для облака автоматически интегрирует расширение Defender for Endpoint на поддерживаемые виртуальные машины Azure и машины с поддержкой Azure Arc, так что скрипты онбординга для каждой машины не нужны. Для сравнения функций смотрите функции плана Defender for Servers.

Если ваша организация не использует Defender для облака, альтернативами являются автономные лицензии Microsoft Defender для конечной точки для серверов и Microsoft Defender для бизнеса - серверы.

Интеграция с Microsoft Defender для серверов

Defender для конечной точки легко интегрируется с Defender для серверов (в Defender для облака). Если ваша подписка включает Defender для серверов плана 1 или плана 2, вы можете:

  • Автоматическое подключение серверов
  • Обеспечьте отображение серверов, отслеживаемых Defender для облака, на портале Microsoft Defender в списке устройств
  • Проводите подробные расследования, будучи клиентом Microsoft Defender для облака

Вот несколько вещей, которые следует иметь в виду:

  • При использовании Defender для облака для мониторинга серверов клиент Defender для конечной точки создается автоматически. Данные, собираемые Defender для конечной точки, хранятся в географическом расположении клиента, определяемом во время подготовки. (Например, в США для клиентов в США, в ЕС для европейских клиентов и в Великобритании для клиентов в Соединенном Королевстве.)
  • Если вы используете Defender для конечной точки перед использованием Defender для облака, ваши данные хранятся в расположении, указанном при создании клиента, даже если вы интегрируете с Defender для облака позже.
  • После настройки вы не сможете изменить расположение, где хранятся данные. Чтобы перенести данные в другое местоположение, обратитесь в службу поддержки, чтобы сбросить ваш тенант.
  • Мониторинг конечной точки сервера с использованием этой интеграции в настоящее время недоступен для Office 365 клиентов GCC.
  • Linux серверах, подключенных через Defender для облака, настроена начальная конфигурация для запуска Microsoft Defender антивирусной программы в пассивном режиме. Сведения о развертывании Defender для конечной точки на сервере Linux см. в разделе Предварительные требования для Microsoft Defender для конечной точки на Linux.

Дополнительные сведения см. в статье Защита конечных точек с помощью интеграции Defender for Endpoint с Defender для облака.

Важная информация о антивирусных и антивредоносных решениях сторонних разработчиков

Если вы планируете использовать решение для защиты от вредоносных программ сторонних разработчиков, необходимо запустить Microsoft Defender антивирусную программу в пассивном режиме. Обязательно установите пассивный режим во время установки и подключения. Дополнительные сведения см. в разделе Windows Server и пассивном режиме.

Важно!

Если вы устанавливаете Defender для конечной точки на серверах под управлением McAfee Endpoint Security или VirusScan Enterprise, возможно, потребуется обновить версию платформы McAfee, чтобы убедиться, что антивирусная программа Microsoft Defender не была удалена или отключена. Дополнительные сведения о необходимых номерах версий см. в статье Центра знаний McAfee.

Параметры подключения сервера

Вы можете выбрать один из нескольких методов и средств развертывания для подключения серверов, как описано в следующей таблице:

Операционная система Метод развертывания
Windows Server 2012 R2 и более поздних версий
Windows Server, версия 1803
ОС Azure Stack HCI версии 23H2 и более поздних		 Локальный скрипт (использует пакет подключения)
Defender для серверов
Microsoft Configuration Manager
Групповая политика
Скрипты VDI
Подключение к Defender для облака
Современное унифицированное решение для Windows Server 2016 и 2012 R2
Linux Развертывание на основе скрипта установщика
Развертывание на основе сценариев Ansible
Развертывание на основе скрипта Chef
Развертывание на основе скрипта Puppet
Развертывание на основе скрипта Saltstack
Развертывание вручную (использует локальный скрипт)
Прямое подключение с помощью Defender для облака
Подключение машин, не относящихся к Azure, к Microsoft Defender для облака с помощью Defender for Endpoint
Руководство по развертыванию Defender для конечной точки в Linux для SAP

Подключите Windows Server версии 1803, Windows Server 2019, Windows Server 2025, Azure Stack HCI OS версии 23H2 и более поздних версий.

Подключение сервера

  1. Обязательно ознакомьтесь с минимальными требованиями для Defender для конечных точек.

  2. На портале Microsoft Defender перейдите в раздел Параметры>Конечные точки, а затем в разделе Управление устройствами выберите Подключение.

  3. В списке Выберите операционную систему для запуска процесса подключения выберите Windows Server 2019, 2022 и 2025.

    Снимок экрана: экран подключения для Windows Server 2019 и более поздних версий в Defender для конечной точки.

  4. В разделе Тип подключения выберите Упрощенный или Standard. (См. предварительные требования для упрощения подключения.)

  5. В разделе Метод развертывания выберите параметр и скачайте пакет подключения.

  6. Следуйте инструкциям в одной из следующих статей о методе развертывания:

Подключение Windows Server 2016 и Windows Server 2012 R2

Иллюстрация потока подключения для Windows Server и устройств Windows 10.

  1. Обязательно ознакомьтесь с минимальными требованиями к Defender для конечной точки и предварительными требованиями для Windows Server 2016 и 2012 R2.

  2. На портале Microsoft Defender перейдите в раздел Параметры>Конечные точки, а затем в разделе Управление устройствами выберите Подключение.

  3. В списке Выберите операционную систему для запуска процесса подключения выберите Windows Server 2016 и Windows Server 2012 R2.

    Снимок экрана: страница подключения устройства в Defender для конечной точки.

  4. В разделе Тип подключения выберите Упрощенный или Standard. (См. предварительные требования для упрощения подключения.)

  5. В разделе Метод развертывания выберите параметр, а затем скачайте пакет установки и пакет подключения.

    Примечание.

    Пакет установки обновляется ежемесячно. Перед использованием обязательно скачайте последнюю версию пакета. Чтобы выполнить обновление после установки, вам не нужно снова запускать пакет установщика. В этом случае установщик предложит сначала вывести устройство из-под управления, поскольку это обязательное условие для удаления. См. статью Пакеты обновления для Defender для конечной точки в Windows Server 2012 R2 и 2016.

  6. Следуйте инструкциям в одной из следующих статей о методе развертывания:

Предварительные требования для Windows Server 2016 и 2012 R2

Обновление пакетов для Windows Server 2016 или Windows Server 2012 R2

Чтобы регулярно получать улучшения и исправления продукта для компонента Defender для конечных точек, убедитесь, что обновление клиентский компонент Центра обновления Windows KB5005292 было применено или одобрено. Кроме того, сведения о обновлении компонентов защиты см. в статье Управление обновлениями антивирусной программы Microsoft Defender и применение базовых показателей.

Если вы используете Windows Server Update Services (WSUS) и (или) Microsoft Configuration Manager, это новое "обновление Microsoft Defender для конечной точки для датчика EDR" доступно в категории " Microsoft Defender для конечной точки".

Функциональные возможности современного унифицированного решения для Windows Server 2016 и Windows Server 2012 R2

Предыдущая реализация (до апреля 2022 г.) подключения Windows Server 2016 и Windows Server 2012 R2 требовала использования Microsoft Monitoring Agent (MMA). Современный унифицированный пакет решения упрощает подключение серверов за счет удаления зависимостей и этапов установки. Он также предоставляет расширенный набор функций. Дополнительные сведения см. в следующих источниках:

В зависимости от сервера, который вы добавляете, единое решение устанавливает на этот сервер Defender for Endpoint и/или сенсор EDR. В следующей таблице показано, какой компонент установлен и что встроено по умолчанию.

Версия сервера Антивирус Microsoft Defender Датчик EDR
Windows Server 2012 R2 Да Да
Windows Server 2016 Встроенный Да
Windows Server 2019 г. и более поздних версий Встроенный Встроенный

Известные проблемы и ограничения в современном унифицированном решении

К Windows Server 2016 и Windows Server 2012 R2 относятся следующие моменты:

  • Всегда скачиваете последнюю версию пакета установщика с портала Microsoft Defender (https://security.microsoft.com) перед выполнением новой установки и убедитесь, что выполнены необходимые условия. После установки убедитесь в регулярном обновлении с помощью обновлений компонентов, описанных в разделе Обновление пакетов для Defender для конечной точки на Windows Server 2012 R2 и 2016.

  • Обновление операционной системы может привести к проблеме установки на компьютерах с более медленными дисками из-за истечения времени ожидания при установке службы. Сбой установки с сообщением Couldn't find c:\program files\windows defender\mpasdesc.dll, - 310 WinDefend. Используйте последний пакет установки и последнюю версию скриптаinstall.ps1 , чтобы при необходимости удалить неудачную установку.

  • Пользовательский интерфейс на Windows Server 2016 и Windows Server 2012 R2 позволяет выполнять только базовые операции. Сведения о локальном выполнении операций на устройстве см. в статье Управление Defender для конечной точки с помощью PowerShell, WMI и MPCmdRun.exe. В результате функции, которые специально зависят от взаимодействия с пользователем, например когда пользователю предлагается принять решение или выполнить определенную задачу, могут работать неправильно. Рекомендуется отключить или не включать пользовательский интерфейс и не требовать взаимодействия с пользователем на любом управляемом сервере, так как это может повлиять на возможности защиты.

  • Не все правила сокращения направлений атаки применимы ко всем операционным системам. См. правила уменьшения поверхности атаки.

  • Обновления операционной системы поддерживаются в Windows 10 и 11, а также Windows Server 2019 или более поздней версии. Эти версии включают необходимые компоненты Defender for Endpoint. Для Windows Server 2016 и более ранних версий необходимо отключить подключение к Defender для конечной точки и удалить Defender для конечной точки перед обновлением ОС.

  • Чтобы автоматически развертывать и подключать новое решение с помощью Microsoft Configuration Manager, необходимо использовать версию 2207 или более позднюю. Вы по-прежнему можете выполнить настройку и развертывание с использованием версии 2107 и накопительного пакета исправлений, но для этого потребуются дополнительные действия при развертывании. Дополнительные сведения см. в статье Сценарии миграции Microsoft Configuration Manager.

Подключение серверов Linux

Чтобы подключить серверы под управлением Linux, выполните следующие действия.

  1. Обязательно ознакомьтесь с предварительными требованиями для Microsoft Defender для конечной точки в Linux.

  2. Выберите метод развертывания. В зависимости от конкретной среды можно выбрать один из нескольких вариантов:

  3. Настройте свои возможности. См. раздел Настройка параметров безопасности в Microsoft Defender для конечной точки на Linux.

Запуск теста обнаружения для проверки подключения

После подключения устройства можно выполнить тест обнаружения, чтобы убедиться, что устройство правильно подключено к службе. Дополнительные сведения см. в статье Запуск теста обнаружения на недавно подключенном к Defender для конечной точки устройстве.

Примечание.

Запуск антивирусной программы Microsoft Defender не требуется, но рекомендуется. Если другой продукт антивирусной программы является основным решением для защиты конечных точек, можно запустить антивирусная программа Defender в пассивном режиме. Подтвердить, что пассивный режим включен, можно только после проверки того, что сенсор Defender для конечных точек (SENSE) запущен.

  1. На Windows Server устройствах, на которых должна быть установлена Microsoft Defender антивирусная программа в активном режиме, выполните следующую команду:

    sc.exe query Windefend

    Если результатом будет "Указанная служба не существует в качестве установленной службы", необходимо установить Microsoft Defender антивирусную программу.

  2. Выполните следующую команду, чтобы убедиться, что Defender для конечной точки запущен:

    sc.exe query sense

    Результат должен показать, что он работает. Если у вас возникли проблемы с подключением, см. статью Устранение неполадок при подключении.

Отключение серверов Windows

Вы можете отключить серверы Windows, используя те же методы, которые доступны для клиентских устройств Windows:

После отключения можно приступить к удалению пакета унифицированного решения на Windows Server 2016 и Windows Server 2012 R2. В предыдущих версиях Windows Server можно отключить серверы Windows из службы двумя способами:

  • Удалите агент MMA
  • Удалите конфигурацию рабочей области Defender для конечной точки

Примечание.

Эти инструкции по выводу из эксплуатации для других версий Windows Server также применимы, если вы используете предыдущую версию Microsoft Defender for Endpoint для Windows Server 2016 и Windows Server 2012 R2, для которой требуется MMA. Инструкции по переходу на новое унифицированное решение приведены в статье Сценарии миграции серверов в Defender for Endpoint.

Дальнейшие действия

См. также

  • Last updated on